標籤: 勒索軟體

Dark Angels目標對象涵蓋政府、醫療、金融、教育、製造業、技術及電信業者

根據美國雲端運算安全公司Zscaler網路安全研究人員的報告指稱，一家Fortune 50 (《財星》全球 50 強) 公司向 Dark Angels 勒索軟體集團支付了創紀錄的 7,500 萬美元贖金。

Dark Angels 勒索軟體組織自 2022 年以來的行動一直受到廣泛的關注，他們的攻擊目標主要是鎖定在醫療保健、政府、金融和教育等高市值產業，最近也發現有轉向大型工業、科技和電信公司的情況。

Dark Angels的作案手法與一般的勒索軟體集團相比並不相同，典型的攻擊手法通常是先在廣泛區域佈局並配合第三方之攻擊行動。相對地，他們則是先經過精心過濾及篩選然後入侵個別的大規模企業，並在加密重要檔案之前竊取大量重要資料（1-100 TB）。

根據Zscaler 於2024 年7 月30 日發布的2024 ThreatLabz勒索軟體報告，Dark Angels最引人矚目的攻擊事件，是發生在2023 年9 月針對一家跨國集團的網路攻擊，他們駭入並加密該公司的虛擬機，最後索求5100 萬美元。

暗黑天使 Profile

Dark Angels 藉由操作勒索軟體來進行駭客攻擊，最早被發現於 2022 年 5 月開始進行活動，當時它已經開始將目標鎖定在全球各地的重要企業。

像大多數的勒索軟體組織一樣，他們背後是由人工進行操作的，Dark Angels的操作執行同夥會先入侵公司網路系統，然後做橫向移動，最終目的是為了獲取管理權限。於此同時，他們還從侵入的伺服器中竊取重要資料，這些資料成為他們之後提出贖金要求時重要的談判籌碼。

當網路攻擊者取得 Windows domain controller(網域控制器)的存取權時，他們會部署勒索軟體來將網域內的所有裝置設備進行加密。

在上次攻擊事件中，Dark Angels 聲稱他們共竊取了 27 TB 的企業資料，並要求該受害公司支付 5,100 萬美元的贖金。

Zscaler ThreatLabz 表示，Dark Angels 採用的是 “Big Game Hunting” (大規模狩獵遊戲) 策略，這種策略是指僅針對少數高市值公司，預期可以斬獲巨額贖金，而非一次性同時向許多公司要求支付額度較小的贖金。

Zscaler ThreatLabz 研究人員解釋到：“暗黑天使組織採用了高度針對性的做法，通常是一次只攻擊一家大型公司的模式。”

Zscaler的報告也強調並警告，各家企業要同時警惕其他惡名昭彰的勒索軟體組織，例如像是 Lockbit、BlackCat (ALPHV)、Akira 和 Black Basta。

Barrier Networks的首席技術長Ryan McConechy對報告的調查結果發表了評論，「這個數字高到令人擔憂，大多數的企業或機構不會相信網路攻擊會讓他們付出如此慘重的代價…但這就是當前許多網路攻擊事件背後殘酷的現實。」他同時強調企業需要堅實的網路防護措施做後盾，其中包括員工教育訓練、多因子身份驗證、系統更新和準備充分好事件回應計畫。

勒索軟體組織Dark Angels相關的部分的入侵指標（IOCs）:

研究顯示與 2022 年相比，2023 年Mallox勒索軟體活動增加了 174%

Mallox是一個擅長通過易受攻擊的SQL伺服器闖入目標網路的勒索軟體，在過去幾個月中其活動突然變得非常活躍。根據Palo Alto Networks 旗下Unit 42 團隊的最新調查結果顯示，2023 年 Mallox 勒索軟體活動較前一年增加了 174%，並且有跡象成為比現在更大的威脅。Mallox勒索軟體於 2021 年 6 月首次浮出水面，並聲稱自那時以來已感染了全球數百個組織， Mallox的受害者包括製造、零售、批發、法律和專業服務部門的組織。由於大規模利用 MS-SQL伺服器，Mallox 勒索軟體的分佈有所增加，與 2022 年相比增長了 150% 以上。在這些活動中，Mallox 勒索軟體組織應用了暴力破解、數據外洩和其他攻擊技術。攻擊者傾向於通過在暗網上尋找會員(Affiliate)，引誘他們加入勒索軟體即服務（Ransomware-as-a-service，RaaS）計劃來擴大其攻擊活動。據Palo Alto Networks的Unit 42稱，從今年早些時候開始，與該組織相關的威脅活動激增，特別是在5月份。

據了解，操作Mallox 的駭客還同時使用其他勒索軟體，例如 TargetCompany、Tohnichi、Fargo 以及最近的 Xollam，在上個月Xollam已被TrendMicro觀察到使用惡意 OneNote 檔案附件進行初始存取。然而，一個值得注意的地方是Mallox勒索軟體的其通過字典攻擊作為滲透向量來利用安全性較差的 MS-SQL 伺服器來危害受害者網路的模式，在受感染的主機上成功立足後，將執行PowerShell命令以從遠端伺服器檢索勒索軟體有效負載。除了致力於刪除 SQL 相關服務、卷影副本和清除系統事件日誌之外，Mallox勒索軟體還在檔案加密之前終止與安全相關的進程以及繞過Raccine(一種旨在對抗勒索軟體攻擊的開源工具)，然後在每個目錄中投放勒索訊息。

值得一提的是TargetCompany勒索軟體仍然是一個小型、封閉的組織，但據觀察，它也在 RAMP 網路犯罪論壇上為 Mallox 勒索軟體即服務 (RaaS) 附屬計劃招募附屬會員。

據Chainaanalysis稱，勒索軟體對駭客而言仍然是一種利潤豐厚的財務計劃，僅在 2023 年上半年，網路犯罪分子就獲得了至少4.491 億美元的淨收益，Mallox的攻擊活動突然激增也是一個更廣泛趨勢的徵兆，截至 2023 年 6 月，勒索軟體攻擊同比增長 221%，僅 2023 年 6 月就報告了 434 起攻擊，這主要是由Cl0p利用MOVEit 檔案傳輸軟體漏洞造成的。

研究人員表示，Mallox 勒索軟體組織在過去幾個月中更加活躍，如果招募活動成功，最近的招募可使他們能夠攻擊更多組織。為了防禦此類威脅，建議組織確保面向互聯網的應用程序的正確配置，使所有系統保持修補和最新狀態，並實施端點安全控制以檢測可疑活動。積極採取網路安全措施仍然是抵禦 Mallox 等勒索軟體威脅的最佳防禦措施。

Mallox的部分入侵指標(Indicator of compromise -IOCs):

0427a9f68d2385f7d5ba9e9c8e5c7f1b6e829868ef0a8bc89b2f6dae2f2020c4

0463277782f9e98b0e7a028cea0f689a81cf080fa0d64d4de8ef4803bb1bf03a

05194b34f8ff89facdd7b56d05826b08edaec9c6e444bdc32913e02cab01afd4

060ed94db064924a90065a5f4efb50f938c52619ca003f096482353e444bd096

總部位於日本的汽車軟管製造商 Nichirin(株式會社日輪)週三(6/22)表示，其美國子公司Nichirin -Flex USA 在2022年6月14日遭勒索軟體攻擊，該公司在檢測到其網路上的未經授權存取並將操作切換到手動模式後立即做出反應，中斷了其電腦化生產控制，必須手動完成訂單，影響了產品分配及出貨。

勒索軟體攻擊說明了供應鏈安全在所有行業和部門中的重要性日益增加，在沒有日輪汽車零部件的情況下，可引起其他在供應鏈的企業無法完成訂單並滿足消費者的需求。

根據歐盟網路安全局 (European Union Agency for Cybersecurity-ENISA) 的數據，66%的供應鏈攻擊集中在供應商的程式碼上，其次是智慧財產權、個人識別資訊 (PPI)、內部流程圖和緊迫的生產時間線等，尤其吸引那些有經濟動機的駭客。

Nichirin在新聞稿中表示，承諾調查此次攻擊對合作夥伴和客戶的影響，並承諾及時披露任何必要的資訊。Nichirin 也在其官網上請求客戶提高警覺，留意聲稱與Nichirin有關的電子郵件，呼籲電郵收件人不要打開附件。

勒索軟體對汽車行業來說是一個日益嚴峻的挑戰，2021 年 2 月，起亞汽車(Kia)美國公司遭DoppelPaymer加密，關鍵性IT被破壞，網路廣泛性斷線，影響其UVO link的行動應用程式，支付系統，電話服務及入口網站等的運作; 2021 年 12 月Volvo富豪汽車疑遭Snatch勒索軟體加密; 2022 年 3 月 日本汽車零件大廠電裝公司(Denso) 遭潘朵拉勒索軟體攻擊；同月為美國生產汽車剎車管和燃油管的三桜工業遭Conti勒索軟體毒手，現代派沃特(Hyundai Powertech) 也遭Cuba勒索軟體入侵等，可見勒索軟體對瞄準汽車生產中必不可少的零部件供應商表現出越來越大的興趣。

最好的進攻是良好的防守，在管理供應鏈也是如此。在製定管理供應鏈中斷的策略時，建議考慮以下幾點:

*制定供應鏈應急計劃

*建立庫存

*進行供應鏈漏洞稽核

*確定備用供應商

*多元化供應基地

*與物流專家合作

*採用風險評估工具

竣盟科技已經檢查了幾個主要勒索軟體組織的揭秘網站，但目前沒有一個組織聲稱攻擊了Nichirin。

 “轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.com.tw , 以免觸法”